リスク評価は、具体的なリスク、その影響、および軽減策の優先順位を特定するため、修復計画を策定する際に必須の要素である。
* リスク評価の目的：
組織に対する脅威、脆弱性、および影響に関する詳細な情報を提供します。
効果的な修復計画の策定を支援する。
* 他の選択肢の無関係性：
* 取締役会：是正計画の策定には直接関与しない。
* パッチ適用履歴とウイルス定義：戦術的なデータではあるが、全体的なリスク軽減計画には必須ではない。
* 戦略目標との整合性：
* 是正措置が特定されたリスクおよび組織の優先事項に合致していることを保証する。
* リスク管理フレームワーク：リスク評価をリスク軽減計画の基盤として位置づける。
* インシデントおよび脆弱性管理：リスク評価に基づいて構造化された対応を行います。
EC-Council CISO 参考資料:
シナリオ6

信頼できる情報源から入手し、徹底的にテストされたオープンソースのセキュリティツールは、本番環境のセキュリティを損なうことなく、費用対効果の高いソリューションを提供できます。
* テストは、ツールが正しく機能し、脆弱性や運用上のリスクをもたらさないことを保証します。
他の選択肢が間違っている理由：
* A. オープンソースツールを直接デプロイする：テストせずにデプロイすると、脆弱性やパフォーマンスの問題が発生するリスクがあります。
* B. 商用ツールの試用版を使用する: 試用版には制限がある場合が多く、ライセンス契約に違反する可能性があります。
* D. ツールをダウンロードして直接デプロイする: このアプローチでは、セキュリティを維持するために不可欠なテストと評価が省略されます。
EC-Council CISO リファレンス：このプログラムは、本番環境への意図しないリスクを防止するために、ツールやソフトウェアを導入する前に検証およびテストすることの重要性を強調しています。

契約業者が契約業務完了後に変更を拒否した場合、契約書は紛争を解決し、義務を明確にするための拘束力のある文書として機能する。
* 契約上の義務：
* 本契約書には、業務範囲、責任範囲、および変更管理に関連する条項が明記されています。
* 両当事者が事前に定められた条件を遵守することを保証する。
* 紛争解決の手順：
* 契約完了後の変更に関する条項を確認してください。
* 要求された変更がベンダーの契約上の義務の範囲内であるかどうかを評価する。
* 他の選択肢が適さない理由：
* SLA：通常、契約変更ではなく、パフォーマンスとサービス品質に焦点を当てています。
* RFP：契約前の文書であり、紛争解決には適用されません。
* 支払いの保留：問題を解決することなく紛争をエスカレートさせる可能性のある懲罰的措置。
* ベンダー管理：ベンダーとの関係を管理し、紛争を解決するために、明確な契約が重要であることを強調します。
* 法務およびコンプライアンスに関するガイダンス：公平性と執行可能性を確保するために、契約条件の遵守を強調します。